Clickjacking.
Под курсор подсовывается фрейм с виджетом лайка (
https://vk.com/widget_like.php).
Виджет при клике шлёт родительскому фрейму сообщение (window.postMessage()), в котором и содержится id пользователя.
Айдишник выцепливается регуляркой и засылается на сервер.
Попутно делается запрос к VK-API (users.get) и показывается тот самый попап.
Также ставится кука, дабы не проделывать всё это при последующих заходах на сайт.
Соответственно, пока не сделаешь клик, твой id они не получат.
Юзеров файрфокса спасёт выставление privacy.trackingprotection.enabled в true в about:config, тогда виджет вообще не подгружается.
Кстати, "cursor: pointer" на кнопке лайка палит контору, т.к. невозможно залезть во фрейм с кнопкой и подкрутить там стили.